I nemici di reti e device sono dappertutto e hanno impatti inimmaginabili sul quotidiano. Come uscirne?
Iniziamo dal prendere consapevolezza degli attacchi che potremmo subire: una formazione adeguata può dare luogo a strategie efficaci valide per l’intero comparto. Un panorama complesso che, in una parola, si può riassumere con l’espressione “cyber risk”.
Di che cosa si tratta e perché non esserne al corrente finisce per tagliarci fuori dai discorsi attuali?
Sapere come regolarsi in materia può far risparmiare almeno una decina di miliardi di euro all’anno, secondo le ultime stime, anche di più se consideriamo che gli effetti di un’aggressione possono verificarsi, a volte, dopo mesi.
Nella guida spazieremo dalla definizione pratica di cyber risk alle best practices per evitare un blocco delle infrastrutture IT e contribuire ad un ambiente sereno in ufficio e nelle postazioni domestiche.
Cos’è il cyber risk?
Per cyber risk si intendono le perdite economiche, di dati o di immagine del marchio, dovute ad interruzioni dei servizi. Una minaccia che è in agguato nei dipartimenti più disparati e in contesti nevralgici come il settore sanitario.
Quando si manovrano più situazioni contemporaneamente o ci si relaziona con un ampio network, si moltiplica la quantità di documenti esposta a incursioni. Ecco allora che aumenta il cyber risk, indice di probabilità che, attraverso le maglie che noi stessi abbiamo prodotto, qualcuno si possa insinuare per rubare o distruggere codici.
Il cyber risk può essere generato da due frangenti. Parliamo di origine accidentale se il fatto non dipende dai soggetti coinvolti, immaginiamo uno spegnimento improvviso del server a cui ci si appoggia. Mentre usiamo l’aggettivo “deliberato” se c’è un gesto volontario per mirare a una serie di obiettivi come l’acquisizione di cartelle per richiedere successivamente un riscatto in denaro. È il temuto caso del ransomware che si può approfondire qui.
Digitalizzare il workflow può essere indubbiamente un vantaggio a patto di attuare una manutenzione e un controllo costante. Altrimenti diventa un’arma a doppio taglio. Nel cyber risk hanno una parte predominante i malware, o software malevoli. L’inganno può avvenire di frequente tramite gli account di posta elettronica, fronte su cui distinguiamo il phishing, una piaga devastante, e lo SPAM. Una costellazione di termini che porta altrettanti pericoli, elenchiamoli.
Quali sono i rischi per le aziende
Il cyber risk si compone di imprevisti che possono provocare uno stop delle attività online di un’azienda. Un colpo non indifferente non solo per l’IT, ma per ogni realtà dotata di sito ufficiale e canali social. D’altronde lo abbiamo visto di recente, con l’internet down dell’8 giugno che, intorno a mezzogiorno, ha reso impossibili azioni quotidiane come la consultazione di un articolo su testate nazionali o l’acquisto di un prodotto su piattaforme e-commerce. E la lista continua con gli istituti di credito che memorizzano gli importi di conti bancari o quote di società e startup. Un assalto per vie telematiche creerebbe difficoltà enormi.
Una deriva temuta come poche è il furto d’identità compiuto da chi, appropriandosi di determinati file, può autenticarsi di nascosto in servizi e portali. Davanti a un crash che cosa succede? Abbiamo innanzitutto i costi di consulenza per rivolgersi a esperti in grado di tirarci fuori dall’impasse. Senza contare le ricadute relative al GDPR, la normativa europea sulla privacy promulgata nel 2018.
Se si ha la responsabilità di informazioni sensibili su clienti e fornitori e vengono accertate le colpe nel corporate, si incorre in sanzioni salatissime e si perde di credibilità nei confronti di chi si è affidato a noi. Tra le uscite si sommeranno i risarcimenti dovuti e l’assottigliamento dell’ecosistema che a fatica avevamo allestito in precedenza. Per premunirsi in anticipo rispetto a uno scenario catastrofico, bisogna insistere sulla prevenzione e fare le considerazioni del caso. Vediamo come.
Come proteggersi: il cyber risk management
Il cosiddetto cyber risk management prevede, in primis, una mappatura dei sistemi alla ricerca di vulnerabilità che possono aprirsi persino in colossi, come Microsoft Exchange insegna. Una volta identificate le possibili falle si procede a una classificazione secondo due parametri principali, ovvero frequenza e gravità del cyber risk. Al fine di proteggere applicazioni e device, sono disponibili appositi test e framework sviluppati per fare stime a riguardo.
Il fulcro centrale delle operazioni è l’assessment ossia la metodologia di valutazione del personale impiegato e degli strumenti adottati per avere un quadro preciso. L’attuazione del cyber risk management si articola in vari step che hanno come filo conduttore gli standard vigenti a livello internazionale. Passaggi che garantiscono la prosecuzione delle attività a prescindere dai fenomeni esterni. A coordinare ciò, ci sono profili specializzati e manager con capacità di pianificazione e abilità nel monitoraggio.
Chi beneficia del cyber risk management? Tutti, perché consente di avere una conoscenza completa della propria attività imprenditoriale e delle singoli divisioni. Si ragiona così per priorità, ottimizzando il know-how di partenza e perfezionando la brand reputation. Una prassi sempre più gettonata è rivolgersi a compagnie assicurative, ma in che modo si collegano l’insurance e l’information technology? Snoccioliamo la questione.
Cosa copre una polizza cyber
Per tutelare l’Enterprise dai malintenzionati si possono acquistare polizze cyber, che, ad una spesa non eccessiva, sono personalizzabili poiché si modellano sul volume degli archivi virtuali e le dimensioni dell’organizzazione. Come nasce questa necessità? Bisogna tenere presente che spesso antivirus e firewall non bastano a lasciarci tranquilli.
Scatta quindi il trasferimento del cyber risk all’ambito assicurativo, un trend inseguito soprattutto in Nord America, mentre in Italia c’è confusione e incertezza sul tema. Le polizze coprono gli aspetti civili, nello specifico le richieste di indennizzo, i costi di ripristino e le mancate entrate durante il blackout. Si può rimediare perfino ai danni reputazionali e, in aggiunta, si può ricevere un supporto tecnico h24 e l’assistenza legale.
Alleate da non sottovalutare insomma. Gli ostacoli che impediscono il decollo in tale direzione sono di matrice culturale, una diffidenza magari dettata dall’abitudine. A incidere sono le difficoltà nel misurare effettivamente le cifre sborsate a causa di un disastro informatico. Intanto negli Stati Uniti un’impresa su tre ha intrapreso la strada delle polizze sul cyber risk, possedendone almeno una.
